Introduction

Ce document décrit comment demander, installer, approuver et renouveler certains types de certificats sur le logiciel Cisco ASA géré avec ASDM.

Conditions préalables

Exigences

• Avant de commencer à vérifier que l'appliance de sécurité adaptative (ASA) dispose de l'heure, de la date et du fuseau horaire corrects avec authentification par certificat, il est recommandé d'utiliser un serveur NTP (Network Time Protocol) pour synchroniser l'heure sur l'ASA. Consultez Informations connexes pour référence.
• Pour demander un certificat qui utilise une demande de signature de certificat (CSR), il est nécessaire d'avoir accès à une autorité de certification (CA) interne ou tierce de confiance. Les exemples de fournisseurs CA tiers incluent, sans s'y limiter, Entrust, Geotrust, GoDaddy, Thawte et VeriSign.

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• ASAv 9.18.1
• Cisco Adaptive Security Device Manager - ASDM - 7.24(1)
• Pour la création de PKCS12, OpenSSL est utilisé.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

Les types de certificats auxquels ce document s'adresse sont les suivants :

• Certificats auto-signés
• Certificats signés par une autorité de certification tierce ou une autorité de certification interne

Les protocoles d'authentification SSL (Secure Socket Layer), TLS (Transport Layer Security) et IKEv2 rfc7296 pour EAP exigent que le serveur SSL/TLS/IKEv2 fournisse au client un certificat de serveur pour que le client effectue l'authentification du serveur. Il est recommandé d'utiliser des autorités de certification tierces de confiance pour émettre des certificats SSL à l'ASA à cette fin.

Cisco déconseille l'utilisation d'un certificat auto-signé, car un utilisateur peut configurer par inadvertance un navigateur pour faire confiance à un certificat provenant d'un serveur non autorisé. Les utilisateurs peuvent rencontrer des avertissements de sécurité lors de la connexion à la passerelle sécurisée, ce qui peut perturber leur flux de travail. 

Considérations relatives à la sécurité CA approuvée

Risques et recommandations liés à l'authentification des certificats

Comportement par défaut de validation de point de confiance-utilisation

Lorsqu’un certificat d’autorité de certification approuvée est installé, il peut être utilisé pour authentifier différents types de connexions VPN à l’aide de l’authentification de certificat. Elle est contrôlée par la commande validation-usage trustpoint (Configuration > Device Management > Certificate Management >CA Certificates >Add -> More Options... > Advanced> select Validation Usage options).

Les types d'utilisation de validation sont :

• ipsec-client: Valide les connexions client IPsec.
• ssl-client: Valide les connexions client SSL.
• ssl-server: Valide les certificats de serveur SSL.

Risques de configuration par défaut

• Par défaut, un certificat d'autorité de certification installé en tant que certificat sécurisé peut être utilisé pour authentifier le certificat d'identité client entrant pour tout groupe de tunnels utilisant l'authentification de certificat.
• Ce paramètre par défaut peut constituer un risque de sécurité si vous ne le connaissez pas.

Action recommandée

• Désactivez l'utilisation de validation pour les points de confiance non intentionnels. Si un certificat d'autorité de certification n'est pas destiné à authentifier des homologues ou des utilisateurs VPN, désactivez la validation-utilisation pour ce point de confiance.
  
  

Exemple de configuration

Navigate to:
Configuration > Device Management > Certificate Management > CA Certificates. 
a) Select a wanted trustpoint and click Edit. 
b) Navigate to Advanced and uncheck all Validation Usage options. 

trustpoint public-root-ca
 no validation-usage

Autorisation Risques et recommandations

Par défaut, un certificat CA approuvé peut être utilisé pour authentifier un homologue IPSEC VPN ou un utilisateur VPN d'accès à distance se connectant à n'importe quel groupe de tunnels. Une autorisation appropriée doit être conçue.

Action recommandée

Utilisez des mappages de certificat et de groupe de tunnels pour vous assurer que seuls les certificats autorisés sont utilisés pour des groupes de tunnels spécifiques. Définissez une règle de mappage de groupe de tunnels par défaut qui pointe vers un groupe de tunnels sans accès pour limiter les accès non autorisés.

Exemple de configuration

L'authentification de certificat est uniquement autorisée pour :

• Machines avec un certificat émis par CN=example.com et ayant OU=machines dans l'objet du certificat.
• Utilisateurs avec un certificat émis par CN=example.com et ayant OU=users dans l'objet du certificat.

Les utilisateurs avec d'autres certificats sont assignés à no_access tunnel-group par défaut, grâce à la commande tunnel-group-map default-group no_access. Les règles de mappage de certificat ont la priorité sur group-url grâce à la commande tunnel-group-map enable rules. Connaître group-url n'aide pas à contourner les règles de mappage de certificat.

1. Configurez la stratégie de groupe empêchant l'accès VPN :

Navigate to:
Configuration > Remote Access VPN > Network (Client) Access > Group Policies > Add > General > More Options 
a) Uncheck Inherit next to Simultaneous Logins and set the value 0.
b) Uncheck Inherit next to Banner and set a wanted massage, for example NO ACCESS GROUP POLICY.

group-policy no_access_gp internal 
group-policy no_access_gp attributes 
 banner value NO ACCESS GROUP POLICY
 vpn-simultaneous-logins 0

Connexions simultanées définies sur 0

2. Configurez des groupes de tunnels pour les utilisateurs et des groupes de tunnels empêchant l'accès VPN.

Navigate to:
Configuration > Remote Access VPN > Network (Client) Access > Secure Client Connection Profiles. Click Add and configure:
a) Authentication method as Certificate.
b) Group Policy - for the no_access tunnel group use no_access_gp where simultaneous logins is set to 0.

tunnel-group mgmt-tunnel type remote-access
tunnel-group mgmt-tunnel general-attributes
 address-pool vpn_pool
 default-group-policy mgmt-tunnel
tunnel-group mgmt-tunnel webvpn-attributes
 authentication certificate
!
tunnel-group users_access type remote-access
tunnel-group users_access general-attributes
 default-group-policy user_access_gp
 address-pool vpn_pool
tunnel-group users_access webvpn-attributes
 authentication certificate
!
tunnel-group no_access type remote-access
tunnel-group no_access general-attributes
 default-group-policy no_access_gp
 address-pool vpn_pool
tunnel-group no_access webvpn-attributes
 authentication certificate

Aucun groupe de tunnels d'accès

3. Créez des mappages de certificats pour les utilisateurs et utilisez les mappages de certificats pour le mappage de groupe de tunnels :

Navigate to: Configuration > Remote Access VPN > Advanced > Certificate to Secure Client and Clientless SSL VPN Connection Profile Maps. 
a) Click Add to configure Certificate to Connection Profile Maps.
b) Select New and configure a certificate group map name, for example mgmt_tunnel_map or users_access_map.
c) Select a corresponding connection profile/tunnel group from the drop-down menu at Mapped to Connection Profile.
d) Click Add to configure Mapping Criteria.
e) Select: Field: Subject, Component: Organizational Unit (OU), Operator: Equals, Value: machines or users.
d) Select: Field: Issuer, Component: Common Name (CN), Operator: Equals, Value: example.com.

crypto ca certificate map mgmt_tunnel_map 10 
 issuer-name attr cn eq example.com 
 subject-name attr ou eq machines 
crypto ca certificate map users_access_map 10 
 issuer-name attr cn eq example.com 
 subject-name attr ou eq users 
!
webvpn 
 (...) 
 certificate-group-map mgmt_tunnel_map 10 mgmt-tunnel 
 certificate-group-map users_access_map 10 users_access

Mappages de profil de certificat vers connexion client sécurisée

4. Activez les mappages de groupe de tunnels et configurez un groupe de tunnels par défaut pour refuser l'accès si un certificat utilisateur ne correspond à aucun autre mappage de certificat.

Navigate to: Configuration > Remote Access VPN > Network (Client) Access > Advanced > IPsec > Certificate to Connection Profile Maps > Policy.
a) Check Use the configure rules to match a certificate to a Connection Profile.
b) Check Default to Connection Profile and select from the drop-down menu the no-access connection profile/tunnel group.

tunnel-group-map enable rules
tunnel-group-map default-group no_access

Activer les mappages de certificats et le profil de connexion par défaut

Ressources supplémentaires

Pour obtenir des instructions de configuration plus détaillées, reportez-vous à la documentation Cisco :

• Configuration de l'utilisation de la validation - Référence des commandes de la gamme Cisco Secure Firewall ASA, commandes T - Z
• Configuration du plan de certificat - Référence des commandes de la gamme Cisco Secure Firewall ASA, commandes T - Z
• Configuration de la carte de groupe de tunnels - Référence des commandes de la gamme Cisco Secure Firewall ASA, commandes T - Z
• Configuration de l'activation de la carte de groupe de tunnels - Référence des commandes de la gamme Cisco Secure Firewall ASA, commandes T - Z
• Avis de sécurité Cisco - Configuration par défaut des logiciels Cisco ASA et FTD Trustpoint

Demander et installer un nouveau certificat d'identité avec ASDM

Un certificat peut être demandé à une autorité de certification (CA) et installé sur un ASA de deux manières :

1. Utiliser une demande de signature de certificat (CSR). Générez une paire de clés, demandez un certificat d'identité à l'autorité de certification avec un CSR, installez le certificat d'identité signé obtenu auprès de l'autorité de certification.
2. Utilisez un fichier PKCS12 obtenu auprès d'une autorité de certification ou exporté à partir d'un autre périphérique. Le fichier PKCS12 contient la paire de clés, le certificat d'identité, le ou les certificats d'autorité de certification.

Demander et installer un nouveau certificat d'identité avec une demande de signature de certificat (CSR)

Un CSR est créé sur le périphérique qui a besoin d'un certificat d'identité, utilisez une paire de clés créée sur le périphérique.

Un CSR contient :

• Informations sur la demande de certificat : objet demandé et autres attributs, clé publique de la paire de clés.
• Informations sur l'algorithme de signature.
• Signature numérique des informations de demande de certificat, signée avec la clé privée de la paire de clés.

Le CSR est transmis à l'autorité de certification (CA) pour signature dans le formulaire PKCS#10. 

Le certificat signé est renvoyé par l'autorité de certification sous la forme d'un PEM.

Remarque :   L'autorité de certification peut modifier les paramètres FQDN et Subject Name définis dans le point de confiance lorsqu'elle signe le CSR et crée un certificat d'identité signé.

Générer un CSR avec ASDM

Créer un point de confiance avec un nom spécifique

1. Accédez à Configuration > Gestion des périphériques > Gestion des certificats > Certificats d'identité

1. Cliquez sur Ajouter.
2. Définissez un nom de point de confiance.

   

3. Cliquez sur la case d'option Add a New Identity Certificate.

Créer une nouvelle paire de clés (facultatif)

Remarque : Par défaut, la clé RSA portant le nom Default-RSA-Key et une taille de 2048 est utilisée. Cependant, il est recommandé d'utiliser une paire de clés privée/publique unique pour chaque certificat d'identité.

1. Cliquez sur New pour générer une nouvelle paire de clés.

1. Choisissez l'option Enter new Key Pair name et entrez un nom pour la nouvelle paire de clés.
2. Sélectionnez le type de clé - RSA ou ECDSA.
3. Choisissez la taille de clé ; pour le RSA, sélectionnez Fonction générale pour l'utilisation.
4. Cliquez sur Générer maintenant. La paire de clés est maintenant créée.

   

Choisissez le nom de la paire de clés

1. Choisissez la paire de clés avec laquelle signer le CSR et à lier au nouveau certificat.

Configurer l'objet du certificat et le nom de domaine complet (FQDN)

Mise en garde : Le paramètre FQDN doit correspondre au FQDN ou à l'adresse IP de l'interface ASA pour laquelle le certificat d'identité est utilisé. Ce paramètre définit l'extension de nom alternatif de sujet (SAN) demandée pour le certificat d'identité. L'extension SAN est utilisée par le client SSL/TLS/IKEv2 pour vérifier si le certificat correspond au nom de domaine complet auquel il se connecte.

1. Cliquez sur Sélectionner.

1. Dans la fenêtre Certificate Subject DN, configurez les attributs du certificat - choisissez l'attribut dans la liste déroulante, entrez la valeur et cliquez sur Add.

Attribut	Description
CN	Nom par lequel le pare-feu est accessible (généralement le nom de domaine complet, par exemple, vpn.example.com).
OU	Nom de votre service au sein de l'organisation.
O	Le nom enregistré légalement de votre organisation/société.
C	Code du pays (code à 2 lettres sans ponctuation).
ST	État dans lequel se trouve votre organisation.
L	Ville dans laquelle se trouve votre entreprise.
CE	Adresse électronique

Remarque : Aucune des valeurs des champs précédents ne peut dépasser une limite de 64 caractères. Des valeurs plus longues peuvent entraîner des problèmes avec l'installation du certificat d'identité. De plus, il n'est pas nécessaire de définir tous les attributs DN.

1. Cliquez sur OK après avoir ajouté tous les attributs.
2. Configurez le nom de domaine complet du périphérique - cliquez sur Avancé.

1. Dans le champ FQDN, saisissez le nom de domaine complet où le périphérique est accessible à partir d'Internet.
2. Click OK.

   

Générer et enregistrer le CSR

1. Cliquez sur Ajouter un certificat.

1. Une invite s'affiche pour enregistrer le CSR dans un fichier sur l'ordinateur local.

1. Cliquez sur Browse et choisissez un emplacement pour enregistrer le CSR. Veillez à enregistrer le fichier avec l'extension .txt.

Remarque : Lorsque le fichier est enregistré avec une extension .txt, la demande PKCS#10 peut être ouverte et affichée à l'aide d'un éditeur de texte (tel que le Bloc-notes).

1. Le nouveau point de confiance est maintenant affiché à l'état En attente.

Installer le certificat d'identité au format PEM avec ASDM

Les étapes d'installation supposent que l'autorité de certification a signé le CSR et fourni un certificat d'identité codé PEM (.pem,.cer, .crt) et un ensemble de certificats d'autorité de certification.

Installer le certificat AC qui a signé le CSR

1. Accédez à Configuration > Device Management > Certificate Management et choisissez CA Certificates.
2. Cliquez sur Ajouter.

1. Entrez le nom du point de confiance et sélectionnez Installer à partir du fichier, cliquez sur le bouton Parcourir, puis sélectionnez le certificat intermédiaire. Vous pouvez également coller le certificat CA codé PEM d'un fichier texte dans le champ texte.

Remarque : Installez le certificat d'autorité de certification qui a signé le CSR. Utilisez le même nom de point de confiance que le certificat d'identité. Les autres certificats d'autorité de certification situés plus haut dans la hiérarchie PKI peuvent être installés dans des points de confiance distincts.

1. Cliquez sur Installer un certificat. 

1. Installer le certificat d'identité
2. Sélectionnez le certificat d'identité créé précédemment lors de la génération CSR.
3. Cliquez sur Installer.

Remarque : Le certificat d'identité peut avoir un champ Émis par Non disponible et le champ Date d'expiration le champ En attente. 

1. Choisissez un fichier qui contient le certificat d'identité codé PEM reçu de l'autorité de certification, ou ouvrez le certificat codé PEM dans un éditeur de texte et copiez et collez le certificat d'identité fourni par l'autorité de certification dans le champ de texte.

Remarque : Le ou les certificats d'identité peuvent être au format .pem, .cer, .crt à installer.

1. Cliquez sur Installer un certificat.

Lier le nouveau certificat à l'interface avec ASDM

L'ASA doit être configuré pour utiliser le nouveau certificat d'identité pour les sessions WebVPN qui se terminent sur l'interface spécifiée.

1. Accédez à Configuration > Remote Access VPN > Advanced > SSL Settings.
2. Sous Certificates, choisissez l'interface qui est utilisée pour terminer les sessions WebVPN. Dans cet exemple, l'interface externe est utilisée.
3. Cliquez sur Modifier.
4. Dans la liste déroulante Certificate, sélectionnez le certificat nouvellement installé.

   

5. Click OK.
6. Cliquez sur Apply.

Le nouveau certificat d'identité est maintenant utilisé.

Installer un certificat d'identité reçu au format PKCS12 avec ASDM

Le fichier PKCS12 (format .p12 ou .pfx) contient un certificat d'identité, une paire de clés et un ou plusieurs certificats d'autorité de certification. Il est créé par l'autorité de certification, dans le cas d'un certificat générique, ou exporté à partir d'un autre périphérique. Il s'agit d'un fichier binaire qui ne peut pas être affiché avec un éditeur de texte.

Installer les certificats d'identité et d'autorité de certification à partir d'un fichier PKCS12

Le certificat d'identité, le ou les certificats d'autorité de certification et la paire de clés doivent être regroupés dans un fichier PKCS12 unique. 

1. Accédez à Configuration > Device Management > Certificate Management et choisissez Identity Certificates.
2. Cliquez sur Ajouter.
3. Spécifiez un nom de point de confiance.

   

4. Activez la case d'option Importer le certificat d'identité à partir d'un fichier.

   

5. Entrez la phrase de passe utilisée pour créer le fichier PKCS12.

   

1. Cliquez sur Add Certificate.

Remarque : Lorsque vous importez une chaîne de certificats PKCS12 avec CA, l'ASDM crée automatiquement les points de confiance CA en amont avec les noms et le suffixe de numéro ajouté.

Lier le nouveau certificat à l'interface avec ASDM

L'ASA doit être configuré pour utiliser le nouveau certificat d'identité pour les sessions WebVPN qui se terminent sur l'interface spécifiée.

1. Accédez à Configuration > Remote Access VPN > Advanced > SSL Settings.
2. Sous Certificates, sélectionnez l'interface utilisée pour terminer les sessions WebVPN. Dans cet exemple, l'interface externe est utilisée.
3. Cliquez sur Modifier.
4. Dans la liste déroulante Certificate, sélectionnez le nouveau certificat installé.

1. Click OK.
2. Cliquez sur Apply.

   

3. Le nouveau certificat d'identité est maintenant utilisé.

Renouvellement du certificat

Renouveler un certificat inscrit avec une demande de signature de certificat (CSR) avec ASDM

Le renouvellement du certificat inscrit CSR nécessite la création et l'inscription d'un nouveau point de confiance. Il doit avoir un nom différent (par exemple, un ancien nom avec le suffixe de l'année d'inscription). Il peut utiliser les mêmes paramètres et la même paire de clés que l'ancien certificat, ou il peut utiliser des paramètres différents.

Générer un CSR avec ASDM

Créer un nouveau point de confiance avec un nom spécifique

1. Accédez à Configuration > Gestion des périphériques > Gestion des certificats > Certificats d'identité

1. Cliquez sur Ajouter.
2. Définissez un nom de point de confiance.

   

3. Activez la case d'option Ajouter un nouveau certificat d'identité.

Créer une nouvelle paire de clés (facultatif)

Remarque : Par défaut, la clé RSA avec le nom Default-RSA-Key et une taille de 2048 est utilisée ; toutefois, il est recommandé d'utiliser une paire de clés privée/publique unique pour chaque certificat d'identité.

1. Cliquez sur New pour générer une nouvelle paire de clés.

1. Choisissez l'option Enter new Key Pair name et entrez un nom pour la nouvelle paire de clés.
2. Sélectionnez le type de clé - RSA ou ECDSA.
3. Choisissez la Key Size - pour RSA, choisissez General purpose for Usage.
4. Cliquez sur Générer maintenant. La paire de clés est maintenant créée.

   

Sélectionnez le nom de la paire de clés

1. Choisissez la paire de clés avec laquelle signer le CSR et à lier au nouveau certificat.

Configurer l'objet du certificat et le nom de domaine complet (FQDN)

Mise en garde : Le paramètre FQDN doit correspondre au FQDN ou à l'adresse IP de l'interface ASA pour laquelle le certificat est utilisé. Ce paramètre définit le nom alternatif du sujet (SAN) pour le certificat. Le champ SAN est utilisé par le client SSL/TLS/IKEv2 pour vérifier si le certificat correspond au nom de domaine complet auquel il est connecté.

Remarque :  L'autorité de certification peut modifier les paramètres FQDN et Subject Name définis dans le point de confiance lorsqu'elle signe le CSR et crée un certificat d'identité signé.

1. Cliquez sur Sélectionner.

1. Dans la fenêtre Certificate Subject DN, configurez les attributs de certificat - sélectionnez l'attribut dans la liste déroulante, entrez la valeur.
2. Cliquez sur Ajouter.

   

   Attribut	Description
   CN	Nom par lequel le pare-feu est accessible (généralement le nom de domaine complet, par exemple, vpn.example.com).
   OU	Nom de votre service au sein de l'organisation.
   O	Le nom enregistré légalement de votre organisation/société.
   C	Code pays (code à 2 lettres sans ponctuation)
   ST	État dans lequel se trouve votre organisation.
   L	Ville dans laquelle se trouve votre entreprise.
   CE	Adresse électronique

   Remarque : Aucun des champs précédents ne peut dépasser une limite de 64 caractères. Une valeur plus longue peut entraîner des problèmes avec l'installation du certificat d'identité. En outre, il n'est pas nécessaire de définir tous les attributs DN.

3. Cliquez sur OK après avoir ajouté tous les attributs.
4. Pour configurer le nom de domaine complet du périphérique, cliquez sur Avancé.

   

5. Dans le champ FQDN, saisissez le nom de domaine complet où le périphérique est accessible à partir d'Internet.
6. Click OK.

   

Générer et enregistrer le CSR

1. Cliquez sur Ajouter un certificat.

1. Une invite s'affiche pour enregistrer le CSR dans un fichier sur l'ordinateur local.

1. Cliquez sur Parcourir. Choisissez un emplacement pour enregistrer le CSR et enregistrez le fichier avec l'extension .txt.

Remarque : Lorsque le fichier est enregistré avec une extension .txt, la demande PKCS#10 peut être ouverte et affichée à l'aide d'un éditeur de texte (tel que le Bloc-notes).

1. Le nouveau point de confiance est maintenant affiché à l'état En attente.

Installer le certificat d'identité au format PEM avec ASDM

Les étapes d'installation supposent que l'autorité de certification a signé le CSR et fourni un nouveau certificat d'identité codé PEM (.pem, .cer, .crt) et un ensemble de certificats d'autorité de certification.

Installer le certificat AC qui a signé le CSR

Le certificat d'autorité de certification qui a signé le certificat d'identité peut être installé dans le point de confiance créé pour le certificat d'identité. Si le certificat d'identité est signé par une autorité de certification intermédiaire, ce certificat peut être installé dans le point de confiance du certificat d'identité. Tous les certificats CA en amont dans la hiérarchie et peuvent être installés dans des points de confiance CA distincts.

1. Accédez à Configuration > Device Management > Certificate Management > et choisissez CA Certificates.
2. Cliquez sur Ajouter.

   

3. Entrez le nom du point de confiance et choisissez Installer à partir du fichier. 
4. Cliquez sur Browse et choisissez le certificat intermédiaire. Vous pouvez également coller le certificat CA codé PEM à partir d'un fichier texte dans le champ texte.

   

   Remarque : Installez le certificat intermédiaire avec le même nom de point de confiance que le nom de point de confiance du certificat d'identité, si le certificat d'identité est signé par un certificat d'autorité de certification intermédiaire.

5. Cliquez sur Installer un certificat. 

Dans cet exemple, le nouveau certificat est signé avec le même certificat CA que l'ancien. Le même certificat CA est associé à deux Trustpoints.

Installer le certificat d'identité

1. Sélectionnez le certificat d'identité créé précédemment avec la génération CSR.
2. Cliquez sur Installer.

   

   Remarque : Le champ Émis par du certificat d'identité peut avoir la valeur Non disponible et le champ Date d'expiration la valeur En attente. 

3. Choisissez un fichier qui contient le certificat d'identité codé PEM reçu de l'autorité de certification, ou ouvrez le certificat codé PEM dans un éditeur de texte, et copiez et collez le certificat d'identité fourni par l'autorité de certification dans le champ de texte.

Remarque : Le ou les certificats d'identité peuvent être au format .pem, .cer, .crt à installer.

1. Cliquez sur Installer un certificat.

1. Après l'installation, des certificats d'identité anciens et nouveaux sont présents.
   

Lier le nouveau certificat à l'interface avec ASDM

L'ASA doit être configuré pour utiliser le nouveau certificat d'identité pour les sessions WebVPN qui se terminent sur l'interface spécifiée.

1. Accédez à Configuration > Remote Access VPN > Advanced > SSL Settings.
2. Sous Certificates, choisissez l'interface qui est utilisée pour terminer les sessions WebVPN. Dans cet exemple, l'interface externe est utilisée.
3. Cliquez sur Modifier.
4. Dans la liste déroulante Certificate, sélectionnez le nouveau certificat installé.

1. Click OK.
2. Cliquez sur Apply. Le nouveau certificat d'identité est maintenant utilisé.

Renouveler un certificat inscrit avec un fichier PKCS12 avec ASDM

Le renouvellement du certificat inscrit PKCS12 nécessite la création et l'inscription d'un nouveau point de confiance. Il doit avoir un nom différent (par exemple, un ancien nom avec le suffixe de l'année d'inscription).

Le fichier PKCS12 (format .p12 ou .pfx) contient un certificat d'identité, une paire de clés et un ou plusieurs certificats d'autorité de certification. Il est créé par l'autorité de certification, par exemple, dans le cas d'un certificat générique, ou exporté à partir d'un autre périphérique. Il s'agit d'un fichier binaire qui ne peut pas être affiché avec l'éditeur de texte.

Installer le certificat d'identité renouvelé et les certificats CA à partir d'un fichier PKCS12

Le certificat d'identité, le ou les certificats d'autorité de certification et la paire de clés doivent être regroupés dans un fichier PKCS12 unique.

1. Accédez à Configuration > Device Management > Certificate Management et choisissez Identity Certificates.
2. Cliquez sur Ajouter.
3. Spécifiez un nouveau nom de point de confiance.

   

4. Activez la case d'option Import The Identity Certificate from a file.

1. Entrez la phrase de passe utilisée pour créer le fichier PKCS12.

1. Cliquez sur Add Certificate.

Remarque : Lorsqu'une chaîne de certificats PKCS12 avec CA est importée dans l'ASDM, elle crée automatiquement les points de confiance des CA en amont avec des noms avec un suffixe de numéro ajouté.

Lier le nouveau certificat à l'interface avec ASDM

L'ASA doit être configuré pour utiliser le nouveau certificat d'identité pour les sessions WebVPN qui se terminent sur l'interface spécifiée.

1. Accédez à Configuration > Remote Access VPN > Advanced > Paramètres SSL
2. Sous Certificates, choisissez l'interface qui est utilisée pour terminer les sessions WebVPN. Dans cet exemple, l'interface externe est utilisée.
3. Cliquez sur Modifier.
4. Dans la liste déroulante Certificate, sélectionnez le nouveau certificat installé.

1. Click OK.
2. Cliquez sur Apply.

1. Le nouveau certificat d'identité est maintenant utilisé.

Vérifier

Suivez ces étapes pour vérifier que l'installation du ou des certificats de fournisseur tiers a réussi et que les connexions VPN SSL sont utilisées.

Afficher les certificats installés via ASDM

1. Accédez à Configuration > Remote Access VPN > Certificate Management et choisissez Identity Certificates.
2. Le certificat d'identité émis par le fournisseur tiers est visible.

Dépannage

Si l'installation d'un certificat SSL échoue, cette commande debug est collectée sur l'interface de ligne de commande pour collecter des informations de diagnostic.

• debug crypto ca 14

Foire aux questions

Q. Qu'est-ce qu'un PKCS12 ?
R. En cryptographie, PKCS12 définit un format de fichier d'archive créé pour stocker de nombreux objets de cryptographie sous la forme d'un fichier unique. Il est généralement utilisé pour regrouper une clé privée avec son certificat X.509 ou pour regrouper tous les membres d'une chaîne de confiance.

Q. Qu'est-ce qu'une RSE ?
R. Dans les systèmes d'infrastructure à clé publique (ICP), une demande de signature de certificat (également une demande de CSR ou de certification) est un message envoyé par un demandeur à une autorité d'enregistrement de l'infrastructure à clé publique pour demander un certificat d'identité numérique. Il contient généralement la clé publique pour laquelle le certificat peut être émis, les informations utilisées pour identifier le certificat signé (par exemple, un nom de domaine dans Subject) et la protection de l'intégrité (par exemple, une signature numérique).

Q. Où se trouve le mot de passe de PKCS12 ?
R. Lorsque les certificats et les paires de clés sont exportés vers un fichier PKCS12, le mot de passe est indiqué dans la commande export. Pour importer un fichier PKCS12, le mot de passe doit être fourni par le propriétaire du serveur AC ou par une personne qui a exporté le fichier PKCS12 à partir d'un autre périphérique.

Q. Quelle est la différence entre la racine et l’identité ?
R. Dans le domaine de la cryptographie et de la sécurité informatique, un certificat racine est un certificat à clé publique qui identifie une autorité de certification racine. Les certificats racine sont auto-signés (et il est possible qu'un certificat ait plusieurs chemins d'accès d'approbation, par exemple, si le certificat a été émis par un racine qui a été signé de manière croisée) et forment la base d'une infrastructure de clé publique (PKI) basée sur X.509. Un certificat de clé publique, également appelé certificat numérique ou certificat d'identité, est un document électronique utilisé pour prouver la propriété d'une clé publique. Le certificat comprend des informations sur la clé, des informations sur l'identité de son propriétaire (appelé sujet) et la signature numérique d'une entité qui a vérifié le contenu du certificat (appelée émetteur). Si la signature est valide et que le logiciel qui examine le certificat fait confiance à l'émetteur, il peut utiliser cette clé pour communiquer en toute sécurité avec l'objet des certificats.

Q. J'ai installé le certificat, pourquoi ne fonctionne-t-il pas ?
R. Cela peut être dû à de nombreuses raisons, par exemple :

1. Le certificat et le point de confiance sont configurés, mais ils n'ont pas été liés au processus qui l'utilise. Par exemple, le point de confiance utilisé n'est pas lié à l'interface externe qui met fin aux connexions des clients VPN AnyConnect à accès sécurisé Cisco.

2. Un fichier PKCS12 est installé, mais présente des erreurs en raison de l'absence du certificat d'autorité de certification intermédiaire dans le fichier PKCS12. Les clients dont le certificat d'autorité de certification intermédiaire est approuvé, mais dont le certificat d'autorité de certification racine n'est pas approuvé, et qui ne peuvent pas vérifier l'ensemble de la chaîne de certificats et signaler le certificat d'identité du serveur comme n'étant pas approuvé.

3. Un certificat renseigné avec des attributs incorrects peut entraîner un échec de l'installation ou des erreurs côté client. Par exemple, certains attributs sont codés avec un format incorrect. Une autre raison est que le certificat d'identité ne contient pas de nom alternatif de sujet (SAN) ou que le nom de domaine utilisé pour accéder au serveur n'est pas présent en tant que SAN.

Q. L’installation d’un nouveau certificat nécessite-t-elle une fenêtre de maintenance ou entraîne-t-elle des temps d’arrêt ?
R. L'installation d'un nouveau certificat (identité ou autorité de certification) n'est pas intrusive et ne provoque pas d'interruption ou ne nécessite pas de fenêtre de maintenance. L'activation d'un nouveau certificat pour un service existant est une modification et nécessite une demande de modification / une fenêtre de maintenance.

Q. L’ajout ou la modification d’un certificat peut-il déconnecter les utilisateurs connectés ?
R. Non, les utilisateurs actuellement connectés restent connectés. Le certificat est utilisé lors de l'établissement de la connexion. Une fois les utilisateurs reconnectés, le nouveau certificat est utilisé.

Q. Comment puis-je créer une RSE avec un caractère générique ? Ou un autre nom de sujet (SAN) ?
A. Actuellement, l'ASA/FTD ne peut pas créer de CSR avec un masque générique ; cependant, ce processus peut être effectué avec OpenSSL. Pour générer la clé CSR et ID, vous pouvez exécuter les commandes suivantes :
     openssl genrsa -out id.key 2048

     openssl req -out id.csr -key id.key -new
Lorsqu'un point de confiance est configuré avec un attribut FQDN (Fully Qualified Domain Name), le CSR créé par ASA/FTD contient le SAN avec cette valeur. L'autorité de certification peut ajouter d'autres attributs SAN lorsqu'elle signe le CSR, ou le CSR peut être créé avec OpenSSL

Q. Un remplacement de certificat prend-il effet immédiatement ?

R. Le nouveau certificat d'identité de serveur est utilisé uniquement pour les nouvelles connexions. Un nouveau certificat est prêt à être utilisé immédiatement après la modification, mais il est utilisé avec de nouvelles connexions.

Q.  Comment puis-je vérifier si l'installation a fonctionné ?
A. La commande CLI pour vérifier : show crypto ca cert <trustpointname>

Q. Comment générer PKCS12 à partir du certificat d'identité, du certificat d'autorité de certification et de la clé privée ?
A.  PKCS12 peut être créé avec OpenSSL, avec la commande :
     openssl pkcs12 -export -out p12.pfx -inkey id.key -in id.crt -certfile ca.crt

Q. Comment exporter un certificat pour l'installer dans un nouvel ASA ?
A.

• Avec CLI : utilisez la commande: crypto ca export <trustpointname> pkcs12 <mot de passe>

• Avec ASDM :

  1. Accédez à Configuration > Device Management > Certificate Management > Identity Certificates et choisissez le certificat d'identité.
  2. Cliquez sur Exporter.

     

  3. Choisissez où exporter le fichier, spécifiez le mot de passe d'exportation, cliquez sur Export Certificate.

     

  4. Le certificat exporté peut être enregistré sur le disque de l'ordinateur local. Veuillez placer la phrase de passe dans un endroit sûr car le fichier est inutile sans elle.

Q. Si des clés ECDSA sont utilisées, le processus de génération de certificat SSL est-il différent ?
R. La seule différence de configuration est l’étape de génération de paire de clés, au cours de laquelle une paire de clés ECDSA peut être générée à la place d’une paire de clés RSA. Le reste des étapes reste le même.

Q. Est-il toujours nécessaire de générer une nouvelle paire de clés ?
R. Les étapes de génération des paires de clés sont facultatives. La paire de clés existante peut être utilisée, ou si la paire de clés PKCS12 est importée avec le certificat. Reportez-vous à la section Sélectionner le nom de la paire de clés pour le type d'inscription/réinscription correspondant.

Q. Est-il sûr de générer une nouvelle paire de clés pour un nouveau certificat d'identité ?
R. Ce processus est sûr tant qu'un nouveau nom de paire de clés est utilisé. Dans ce cas, les anciennes paires de clés ne sont pas modifiées.

Q. Est-il nécessaire de générer à nouveau la clé lorsqu'un pare-feu est remplacé (comme RMA) ?
R. Le nouveau pare-feu n'a pas de paires de clés sur l'ancien pare-feu.
La sauvegarde de la configuration en cours ne contient pas les paires de clés. La sauvegarde complète effectuée avec ASDM peut contenir les paires de clés.
Les certificats d'identité peuvent être exportés à partir d'un ASA avec ASDM ou CLI, avant qu'il échoue. En cas de paire de basculement, les certificats et les paires de clés sont synchronisés sur une unité en veille avec une commande write standby. Si un noeud de la paire de basculement est remplacé, il suffit de configurer le basculement de base et de transmettre la configuration au nouveau périphérique.
Si une paire de clés est perdue avec le périphérique et qu'il n'y a pas de sauvegarde, un nouveau certificat doit être signé avec une paire de clés présente sur le nouveau périphérique.

Historique de révision

Révision	Date de publication	Commentaires
5.0	29-May-2026	Mise à jour de l'espacement, des en-têtes et réécriture de quelques phrases en raison de la structure/grammaire.
4.0	15-Nov-2024	Mise à jour de la traduction automatique et du formatage.
3.0	25-Jul-2024	Texte de remplacement mis à jour, problèmes de style, expressions et ponctuation/majuscules.
2.0	22-Apr-2023	Liste des collaborateurs mise à jour.
1.0	19-Apr-2023	Première publication